Was ist eine Zugriffsregel?

Eine Zugriffsregel ist ein Richtlinienobjekt, das auf System- oder Mandantenebene in „ Versa Director“ konfiguriert wird und Datenverkehr oder Zugriffsanfragen anhand von Kriterien – wie Benutzername, Rolle, Gerätestatus oder Herkunftsort – abgleicht und eine Entscheidung über die Zulassung oder Ablehnung trifft. Die Regeln werden von oben nach unten ausgewertet, sodass ihre Reihenfolge bestimmt, welche Übereinstimmung gilt.

Die wichtigsten Erkenntnisse

• Zugriffsregeln ordnen den Datenverkehr nach Benutzer, Gruppe, Rolle, Gerät oder Standort zu.
• Regeln werden von oben nach unten ausgewertet; ein „Reorder“-Steuerelement ändert die Priorität.
• Die Kernaktion ist „Zulassen“ oder „Ablehnen“ und wird auf die erste übereinstimmende Regel angewendet.
• SASE Bei Bereitstellungen kommen sowohl clientbasierte als auch clientlose Zugriffsregeltypen zum Einsatz.
• Concerto erstellt Zugriffsregeln als einen Schritt im Rahmen seines durchgängigen Workflows „ SASE “.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Zugriffsregel & Versa · Häufig gestellte Fragen

Warum sind Zugriffsregeln wichtig?

Zugriffsregeln setzen eine allgemeine Sicherheitsrichtlinie in eine benutzer- und gerätespezifische Durchsetzung um. Ohne sie verfügt ein Administrator nur über pauschale Kontrollmöglichkeiten – ein Dienst ist für alle hinter einem Gateway entweder aktiviert oder deaktiviert. Mit ihnen kann der Zugriff davon abhängen, wer die Anfrage stellt, von welchem Gerät aus und woher, und jede Bedingung kann unabhängig gewährt oder widerrufen werden. Diese Präzision ist der operative Kern eines Zero-Trust-Ansatzes: Nichts wird standardmäßig als vertrauenswürdig eingestuft, nur weil eine Verbindung den Netzwerkrand erreicht hat.

Die Reihenfolge der Regeln ist genauso wichtig wie ihr Inhalt. Da Zugriffsregeln von oben nach unten ausgewertet werden und die erste Übereinstimmung maßgeblich ist, können identische Regeln in unterschiedlicher Reihenfolge zu gegensätzlichen Ergebnissen führen. Es gibt ein spezielles Steuerelement zum Ändern der Reihenfolge – an erster, letzter oder einer bestimmten Position –, da die richtige Reihenfolge ebenso zum Entwurf gehört wie das Verfassen der Regeln.

Was ist eine Zugriffsregel?

Strukturell gesehen verbindet eine Zugriffsregel Übereinstimmungskriterien mit einer Aktion. Zu den Übereinstimmungskriterien gehören in der Regel das Betriebssystem, die beteiligten Benutzer oder Benutzergruppen, der Endpunktstatus – ein Endpunkt-Informationsprofil, der Compliance-Status des Geräts oder die Risikoklasse der Entität – sowie der Herkunftsort oder die IP-Adresse. Die Aktion lautet „Zulassen“ oder „Verweigern“; eine zugelassene Anfrage durchläuft weitere Einstellungen, beispielsweise welche Gateway-Gruppe sie weiterleitet, während eine abgelehnte Anfrage sofort verworfen wird.

Administratoren erstellen eine Regel mithilfe eines Schritt-für-Schritt-Assistenten, der alle Übereinstimmungskriterien und Aktionskategorien abdeckt, und führen vor dem Speichern einen Schritt zur Überprüfung und Konfiguration durch. Die gespeicherte Regel wird in eine sortierte Liste aufgenommen, die von Director oder Concerto von oben nach unten ausgewertet wird. Zur anschließenden Verwaltung der Liste stehen die Funktionen „Hinzufügen“, „Klonen“, „Neu anordnen“ und „Löschen“ zur Verfügung.

Arten von Zugriffsregeln

Zwei Regelgruppen regeln den sicheren Zugriff auf SASE . Client-basierte Zugriffsregeln steuern den auf den Endgeräten der Benutzer – Windows, macOS, iOS, Android und Linux – installierten Versa SASE -Client. Dabei erfolgt eine Abgleichung anhand von Betriebssystem, Benutzer oder Gruppe, Endpunktstatus und Standort, woraufhin der zulässige Datenverkehr entweder an ein Versa Cloud Gateway oder direkt ins Internet weitergeleitet oder blockiert wird. Clientlose Zugriffsregeln wenden dasselbe Zulassungs-/Sperrmodell auf den browserbasierten Zugriff an, sodass Benutzer ohne Installation von Client-Software auf geschützte Anwendungen zugreifen können.

Bei den clientbasierten Regeln gibt es auf der Ebene der Datenverkehr-Aktionen eine weitere Unterscheidung: Bei „Breakout to Internet“ wird privater Datenverkehr über den Tunnel geleitet, während Datenverkehr ins Internet lokal ausgegeben wird (Split-Tunnel), und bei „Send Apps to Versa Cloud Gateway“ wird der gesamte Datenverkehr mit ausgewählten Ausnahmen an das Gateway weitergeleitet. Welche Optionen verfügbar sind, hängt vom Abonnementtyp des Mandanten ab.

Zugriffsregel & Versa

Concerto erstellt Zugriffsregeln als festgelegten Schritt im Workflow „ SASE “, nachdem Benutzer und Gruppen, Site-to-Site-Tunnel sowie sichere clientbasierte Zugriffsprofile bereits eingerichtet wurden. Die Erstellung erfolgt schrittweise: Zunächst werden die Übereinstimmungskriterien festgelegt (Betriebssystem, Benutzer/Benutzergruppen, Endpunktstatus anhand von Endpunktinformationsprofilen sowie geografischer Standort und IP-Adresse der Quelle), dann die Aktionen (Datenverkehrsaktiion, Gateways, Client-Konfiguration – einschließlich MFA und VPN-Typ – sowie ein Agentenprofil aus EIP) und schließlich die Überprüfung und Konfiguration.

Das „Concerto SASE “-Konfigurationshandbuch für die gesamte Lösung führt Sie durch diesen gesamten Ablauf, und die Dokumentation zur Konfiguration der Regeln für den sicheren, clientbasierten Zugriff auf SASE beschreibt jeden Schritt ausführlich, einschließlich der „Reorder“-Mechanismen, die die Auswertungsreihenfolge steuern.

Häufig gestellte Fragen

Was ist der Unterschied zwischen den Übereinstimmungskriterien einer Zugriffsregel und ihrer Aktion?

Anhand von Übereinstimmungskriterien wird festgelegt, auf welchen Datenverkehr eine Regel angewendet wird – Betriebssystem, Benutzer oder Gruppe, Endpunktstatus sowie Herkunftsort oder IP-Adresse. Die Aktion legt fest, was mit dem entsprechenden Datenverkehr geschieht: „Zulassen“ mit weiteren Routing-Optionen oder „Ablehnen“, wodurch der Datenverkehr sofort verworfen wird.

Warum ist die Reihenfolge der Zugriffsregeln von Bedeutung?

Zugriffsregeln werden von oben nach unten ausgewertet, und die erste Regel, die zutrifft, bestimmt das Ergebnis. Regeln können neu angeordnet werden – sie können als erste, als letzte oder an einer bestimmten Position verarbeitet werden –, sodass das Verschieben einer Regel dazu führt, dass sich ändert, welchen Datenverkehr sie vor einer weiter gefassten, später folgenden Regel abfängt.

Was ist der Unterschied zwischen clientbasierten und clientlosen Zugriffsregeln?

Clientbasierte Zugriffsregeln regeln den Datenverkehr des auf dem Gerät eines Benutzers installierten „ Versa “SASE -Clients – dabei erfolgt der Abgleich anhand des Betriebssystems, des Benutzers und des Endpunktstatus. Clientlose Zugriffsregeln wenden dasselbe Zulassungs- oder Ablehnungsmodell auf den browserbasierten Zugriff an, wenn Benutzer auf geschützte Anwendungen zugreifen, ohne Client-Software zu installieren.

Kann eine Zugriffsregel nicht nur anhand der Benutzeridentität, sondern auch anhand des Gerätestatus abgeglichen werden?

Ja. Mithilfe von Kriterien zur Endpunkt-Sicherheitslage kann eine Regel auf ein Endpunkt-Informationsprofil, den Compliance-Status eines Geräts oder eine Risikoklasse einer Entität verweisen, sodass der Zugriff nicht nur davon abhängt, wer den Zugriff anfordert und von wo aus, sondern auch vom aktuellen Sicherheitsstatus des Geräts.

Was passiert mit dem Datenverkehr, wenn die Aktion einer Zugriffsregel „Verweigern“ lautet?

Die Regel filtert den gesamten Datenverkehr, der ihren Kriterien entspricht, sofort heraus, und nachfolgende Konfigurationsschritte wie die Gateway-Auswahl und die Client-Einstellungen werden für diese Regel übersprungen, da kein zulässiger Datenverkehr mehr vorhanden ist, auf den sie angewendet werden könnten. Für diese Anfrage werden keine weiteren Regeln ausgewertet.

Weitere Informationen zu den Zugangsregeln

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Zugriffsregeln beschäftigen, sollten Sie sich als Nächstes diese einmal ansehen.